WSUS en 2026 : la faille CVSS 9.8 qui doit accélérer ta migration

Tu as peut-être laissé WSUS tourner en arrière-plan depuis des années, sans trop y toucher : ça patchait, ça marchait, pas de raison de changer. Sauf qu’en octobre 2025, une faille critique non authentifiée a rappelé à tout le monde que « déprécié » ne veut pas dire « sans risque ». Dans cet article, tu as le point complet sur l’état réel de WSUS en 2026 : ce qui s’est passé avec la CVE-2025-59287, ce que « déprécié » signifie concrètement pour ton parc, et surtout les alternatives à envisager selon tes machines — postes Windows, serveurs, ou environnement ConfigMgr.

Ce qui s’est passé : la CVE-2025-59287

Le 14 octobre 2025, Microsoft publie un correctif dans le cadre du Patch Tuesday pour une vulnérabilité de désérialisation de données non fiables dans le rôle serveur WSUS. Quelques jours plus tard, il devient clair que ce correctif initial est insuffisant : Microsoft doit publier un correctif hors bande le 23 octobre 2025 pour combler la faille pour de bon.

Le problème est sérieux à plusieurs titres :

• Elle permet une exécution de code à distance sans authentification, en envoyant un événement forgé au service WSUS.
• Elle note 9.8 sur 10 à l’échelle CVSS — quasiment le score maximal.
• Des campagnes d’exploitation active ont été observées avant même la sortie du correctif définitif, ciblant les ports par défaut 8530 et 8531, avec des scripts PowerShell malveillants exécutés via les processus worker IIS pour extraire des informations réseau et de domaine.
• Un exploit public (PoC) a circulé, et la vulnérabilité a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA.

Si tu gères encore un serveur WSUS exposé, la priorité absolue est de vérifier que le correctif hors bande d’octobre 2025 est bien installé, puis de t’assurer que le rôle n’est pas accessible depuis Internet sans filtrage :

# Vérifier si le correctif hors bande d'octobre 2025 est présent
Get-HotFix | Where-Object { $_.HotFixID -match "KB5070882|KB5070883|KB5070884" }

# Vérifier que WSUS n'écoute pas sur une interface exposée publiquement
Get-NetTCPConnection -LocalPort 8530,8531 | Select-Object LocalAddress, State, OwningProcess

WSUS en 2026 : où en est vraiment la dépréciation ?

Microsoft a annoncé la dépréciation de WSUS le 20 septembre 2024. Concrètement, ça veut dire que le rôle n’est plus en développement actif — pas de nouvelle fonctionnalité, pas d’évolution — mais il continue d’être livré avec Windows Server 2025, reste supporté en production, et reçoit les correctifs de sécurité et de qualité selon le cycle de vie du produit, comme le confirme la documentation officielle Microsoft Learn.

En pratique, WSUS hérite donc du cycle de vie de Windows Server 2025, ce qui repousse son support jusqu’en octobre 2034 pour le support étendu — c’est le seul horizon que Microsoft s’est engagé à tenir jusqu’ici. Ça te laisse du temps, mais ce n’est pas une raison pour ne rien faire : un composant qui ne reçoit plus d’investissement actif reçoit aussi moins d’attention défensive, comme l’a montré cette CVE critique un an à peine après l’annonce de dépréciation.

Autre point à connaître si tu es dans un environnement Configuration Manager : le rôle Software Update Point (SUP) de ConfigMgr n’est officiellement pas affecté par la dépréciation, mais il continue de dépendre d’une installation WSUS locale pour fonctionner. Microsoft n’a annoncé aucun découplage à ce jour.

Faut-il migrer maintenant ? Les alternatives selon ton parc

Postes Windows 10/11 : Windows Update for Business + Intune + Autopatch

Pour les postes de travail, la trajectoire recommandée par Microsoft passe par Windows Autopatch, orchestré via Microsoft Intune et les stratégies Windows Update for Business. Si tu es encore sous ConfigMgr, le co-management te permet de basculer progressivement la charge de travail « mises à jour Windows » vers Intune sans devoir migrer tout ton parc d’un coup — tu déplaces juste ce curseur-là, le reste continue de fonctionner comme avant.

L’arrivée de l’Intune Suite dans les licences M365 E3/E5 rend cette trajectoire moins coûteuse qu’avant : ce que le bundling change pour toi.

Serveurs Windows et Linux : Azure Update Manager

Pour tes serveurs, Azure Update Manager (AUM) centralise l’évaluation et le déploiement des correctifs, sur Azure comme en hybride via Azure Arc. Ce qui est intéressant, c’est que ça peut ne rien te coûter en plus dans plusieurs cas de figure, d’après la FAQ tarifaire officielle :

• Tes VM sont directement dans Azure : gratuit.
• Tu as Microsoft Defender for Servers Plan 2 activé sur l’abonnement.
• Tes serveurs bénéficient d’Extended Security Updates via Azure Arc.
• Tes licences Windows Server ont une Software Assurance active, ou tu utilises le pay-as-you-go Windows Server via Arc.

Hors de ces cas, la facturation est au jour et par serveur Arc-enabled connecté — vérifie ta situation avant de basculer un parc entier.

Environnement ConfigMgr : pas de sortie de secours immédiate

Si le Software Update Point reste ton mode de distribution principal, WSUS reste architecturalement nécessaire tant que tu n’abandonnes pas l’orchestration des correctifs par Configuration Manager. La bascule vers le cloud se fait alors workload par workload, via le co-management, plutôt qu’en une migration unique.

Si tu restes sur WSUS pour l’instant : la checklist minimale

Migrer prend du temps, et ce n’est pas toujours la priorité de cette semaine. En attendant, voici ce qui t’évite de rester exposé sur une faille déjà exploitée activement :

• Confirme l’installation du correctif hors bande d’octobre 2025 sur tous tes serveurs WSUS, pas seulement le principal.
• Vérifie qu’aucun serveur WSUS n’expose les ports 8530/8531 directement sur Internet — c’est le vecteur observé dans les campagnes d’exploitation.
• Surveille les journaux IIS pour des exécutions PowerShell inhabituelles issues du processus worker (w3wp.exe) hébergeant WSUS.
• Segmente le réseau autour du serveur WSUS comme n’importe quel système avec des privilèges élevés sur ton parc.

Pour t’entraîner à prioriser, reprends le Patch Tuesday de septembre 2026 et ses deux zero-days.

FAQ

WSUS va-t-il être supprimé de Windows Server ?

Pas à court terme. Le rôle reste livré et supporté jusqu’à la fin du support étendu de Windows Server 2025, soit octobre 2034. « Déprécié » signifie ici « plus de nouvelles fonctionnalités », pas « retiré ».

Azure Update Manager est-il vraiment gratuit ?

Ça dépend de ta situation : gratuit pour les VM Azure natives, et gratuit pour les serveurs Arc-enabled dans plusieurs cas (Defender for Servers Plan 2, Software Assurance, ESU via Arc). Sinon, c’est une facturation journalière par serveur connecté.

Dois-je migrer en urgence à cause de cette CVE ?

Le correctif d’octobre 2025 traite la vulnérabilité elle-même — s’il est installé, le risque immédiat est couvert. Mais l’épisode illustre bien pourquoi il vaut mieux planifier ta sortie de WSUS plutôt que d’attendre la prochaine alerte.

ConfigMgr peut-il se passer complètement de WSUS ?

Pas aujourd’hui. Le Software Update Point reste dépendant d’une installation WSUS locale, et Microsoft n’a pas annoncé de découplage.

Ce qu’il faut retenir

WSUS n’a pas disparu et ne disparaîtra pas cette année — mais son statut « déprécié » se traduit concrètement par moins d’investissement défensif, comme la CVE-2025-59287 vient de le démontrer. Si tu ne l’as pas encore fait, profite de ce signal pour cartographier tes machines encore rattachées à WSUS et planifier leur bascule vers Windows Autopatch ou Azure Update Manager selon leur profil. Et si tu dois rester dessus encore quelques mois, commence au minimum par vérifier que le correctif d’octobre 2025 est bien en place partout.